Kamera a raktárban, GPS a céges autóban, szűrő a levelezésen, belépőkártyás nyilvántartás. A munkahelyi megfigyelés ma szinte minden cégnél jelen van valamilyen formában – a kérdés csak az, hogy jogszerűen. A magyar adatvédelmi hatóság iránymutatása meglepően konkrét, és a leggyakoribb hibák is jól körülhatárolhatók.
A munkahelyi megfigyelés alapelvei
A NAIH iránymutatása szerint a személyes adat csak akkor kezelhető, ha az feltétlenül szükséges – vagyis ha a munkaviszony létesítése, fenntartása vagy megszüntetése enélkül nem lenne lehetséges. Ehhez társul az arányosság: az alkalmazott eszköznek ténylegesen alkalmasnak kell lennie a célra, és a munkáltatónak azt a módszert kell választania, amely a legkevésbé korlátozza a munkavállalók magánszféráját.
A harmadik alappillér az előzetes tájékoztatás. A munkavállalóknak a megfigyelés megkezdése előtt részletes tájékoztatást kell kapniuk arról, mi a cél, milyen módszerrel történik, meddig őrzik meg az adatokat, és ki fér hozzájuk.
Amit a munkahelyi megfigyelés jogalapjáról tudni kell
Sok cég próbálja aláíratni a munkavállalóval a beleegyezést. Ez tévút: a 29-es munkacsoport véleménye szerint rendkívül valószínűtlen, hogy a hozzájárulás alkalmas jogalap a munkahelyi adatkezeléshez, mert a felek közötti alá-fölé rendeltség miatt az önkéntesség gyakorlatilag nem biztosítható – a munkavállaló tart a visszautasítás következményeitől. A gyakorlatban tehát jogos érdeken alapuló érdekmérlegelést kell dokumentálni.
Munkahelyi megfigyelés eszközök szerint: mit lehet és mit nem?
- E-mail. Írásos szabályzat kell arról, mit és miért ellenőriznek. Fokozatosság érvényesül: először elég a feladó és a tárgy megtekintése, a tartalomba csak indokolt esetben lehet belenézni – a munkavállaló jelenlétében. Magánlevelet nem lehet ellenőrizni.
- Céges telefon és internet. Előzetes használati szabályzat szükséges. Ha a magáncélú használat tilos, elég a használat tényét ellenőrizni; ha megengedett, szigorúbb védelem jár.
- Kamera. Csak törvényben elismert célból – élet védelme, veszélyes anyagok, üzleti titok vagy vagyonvédelem. Tilos öltözőben, mosdóban, pihenőhelyiségben. A megőrzés jellemzően három nap, ennél hosszabb csak indokolással. Minden kameránál részletes tájékoztató tábla kell.
- GPS. Csak arányossági teszttel indokolható, és kizárólag a munkavégzéssel összefüggő mozgás követésére.
Otthoni munkavégzés és saját eszköz
A távmunka terjedésével a munkahelyi megfigyelés kérdése kilépett az iroda falai közül.
Itt a legnagyobb a kockázat. A saját eszköz munkára használata esetén a vélemény szerint technikai megoldásokkal kell elválasztani a munkahelyi és a magáncélú használatot, nem átfogó megfigyeléssel. A távmunka során alkalmazott helymeghatározás és billentyűzetnaplózás pedig általában aránytalan, és nem áll rendelkezésre hozzá megfelelő jogalap.
Mit tehet a munkavállaló?
Ha úgy érzed, hogy a munkáltatód túllépi a kereteket, először kérd el írásban a szabályzatot és az érdekmérlegelési tesztet – ezek elvileg bármikor hozzáférhetők. Ha ilyen nincs, vagy a tartalmuk nem áll összhangban a valósággal, panasszal fordulhatsz a NAIH-hoz. Fontos, hogy a megfigyelés önmagában nem jogsértés: a hiányzó tájékoztatás, az aránytalan eszköz és a túl hosszú megőrzés az.
A munkahelyi megfigyelés öt leggyakoribb hibája
- Nincs írásos szabályzat, csak szóbeli gyakorlat – ilyenkor az ellenőrzés jogalapja is hiányzik.
- Hiányzik az érdekmérlegelési teszt, vagy csak formálisan készült el.
- Túl hosszú megőrzési idő a kamerafelvételeknél.
- Általános tájékoztató konkrét kamerák és célok megjelölése nélkül.
- „Mindent rögzítünk, hátha kell” szemlélet – ez az adattakarékosság elvébe ütközik.
Érdemes tudni, hogy a munkavállaló ugyanúgy élhet a hozzáférés jogával, mint bárki más: kikérheti, milyen adatokat kezel róla a munkáltató. A folyamatról az adathozzáférési kérelemről szóló cikkünkben írtunk.
Ami a munkahelyi megfigyelésnél fontosabb
A tapasztalat az, hogy a cégeket ritkán a lustaság károsítja meg, sokkal inkább a gyenge hozzáférés-kezelés. Egy kiszivárgott jelszó vagy egy rosszul beállított megosztás nagyobb kárt okoz, mint bármennyi magánbeszélgetés. Erről szól a zsarolóvírusról és az adatszivárgás ellenőrzéséről szóló írásunk.
És ha mégis baj történik, a bejelentési kötelezettség is beindul – a határidőkről az adatvédelmi incidens 72 órájáról szóló cikkünkben olvashatsz. A weboldalon gyűjtött adatokra pedig külön szabályok élnek, amelyeket a harmadik féltől származó sütikről szóló írásunkban vettünk sorra.
Ha szeretnéd, hogy valaki átnézze a céged adatkezelési szabályzatait és folyamatait, nézd meg szolgáltatásainkat, vagy írj nekünk a kapcsolat oldalon.
Források: NAIH – Tájékoztató a munkahelyi adatkezelésekről, 29. cikk szerinti Adatvédelmi Munkacsoport – 2/2017. vélemény a munkahelyi adatkezelésről